Sprostredkovateľská zmluva / DPA

Prevádzkovateľ osobných údajov:

Partnerská firma, ktorá používa konfigurátor Hammerlo voči svojim koncovým zákazníkom.

ďalej len „Prevádzkovateľ“

Sprostredkovateľ:

ďalej len „Sprostredkovateľ“ alebo „Hammerlo“

Predmetom tejto zmluvy je úprava práv a povinností strán pri spracúvaní osobných údajov koncových zákazníkov prostredníctvom platformy Hammerlo.

Sprostredkovateľ spracúva osobné údaje výlučne v rozsahu potrebnom na poskytovanie online konfigurátora pergol, spracovanie dopytov, technickú prevádzku platformy, doručovanie dopytov Prevádzkovateľovi, podporu a bezpečnosť služby.

Dotknutými osobami sú najmä:

• koncoví zákazníci Prevádzkovateľa
• záujemcovia o pergolu
• osoby, ktoré odošlú dopyt cez konfigurátor
• osoby komunikujúce s Prevádzkovateľom prostredníctvom platformy

Spracúvané môžu byť najmä:

• meno a priezvisko
• e-mail
• telefón
• miesto alebo adresa realizácie
• zvolená konfigurácia pergoly
• rozmery a technické požiadavky
• poznámky k dopytu
• prílohy alebo fotografie, ak ich formulár umožňuje
• IP adresa
• technické údaje o odoslaní formulára
• dátum a čas odoslania dopytu

Účelom spracúvania je:

• technické prevádzkovanie konfigurátora
• prijatie a uloženie dopytu
• odoslanie dopytu Prevádzkovateľovi
• správa leadov v administrácii
• technická podpora
• zabezpečenie platformy
• export údajov podľa funkcií zvoleného balíka

Sprostredkovateľ nesmie spracúvať osobné údaje na vlastné obchodné účely, pokiaľ na to nemá samostatný právny základ.

Osobné údaje sa spracúvajú počas trvania zmluvného vzťahu medzi Prevádzkovateľom a Sprostredkovateľom.

Po ukončení spolupráce Sprostredkovateľ osobné údaje vymaže alebo vráti Prevádzkovateľovi, pokiaľ právne predpisy nevyžadujú ich ďalšie uchovávanie.

Technické zálohy môžu byť uchovávané po primeranú dobu podľa zálohovacej politiky Sprostredkovateľa.

Sprostredkovateľ spracúva osobné údaje len na základe pokynov Prevádzkovateľa, najmä podľa:

• tejto zmluvy
• obchodných podmienok
• nastavení účtu
• nastavení konfigurátora
• písomných alebo elektronických pokynov Prevádzkovateľa

Ak sa Sprostredkovateľ domnieva, že pokyn Prevádzkovateľa je v rozpore s GDPR alebo inými právnymi predpismi, upozorní na to Prevádzkovateľa.

Sprostredkovateľ sa zaväzuje:

• spracúvať osobné údaje len na dohodnuté účely
• zabezpečiť dôvernosť osôb oprávnených spracúvať údaje
• prijať primerané technické a organizačné opatrenia
• pomáhať Prevádzkovateľovi pri vybavovaní práv dotknutých osôb
• pomáhať pri riešení bezpečnostných incidentov
• viesť primeranú evidenciu spracúvania
• umožniť primeranú kontrolu plnenia povinností
• po skončení spolupráce údaje vymazať alebo vrátiť

Prevádzkovateľ súhlasí, aby Sprostredkovateľ zapojil do spracúvania osobných údajov ďalších sprostredkovateľov, najmä poskytovateľov hostingu, e-mailových služieb, databázovej infraštruktúry, analytických alebo bezpečnostných nástrojov.

Sprostredkovateľ zabezpečí, aby subdodávatelia poskytovali primerané záruky ochrany osobných údajov a boli viazaní povinnosťami zodpovedajúcimi tejto zmluve.

Sprostredkovateľ bude Prevádzkovateľa informovať o podstatných zmenách v zapojení subdodávateľov, ak to vyžaduje GDPR alebo dohoda strán.

EDPB vo svojom stanovisku z roku 2024 zdôrazňuje, že sprostredkovateľ má prevádzkovateľovi poskytovať dostupné informácie o sub-sprostredkovateľoch, aby prevádzkovateľ vedel plniť svoje povinnosti podľa článku 28 GDPR.

Sprostredkovateľ prijíma primerané bezpečnostné opatrenia, najmä:

• zabezpečený prenos údajov
• prístupové práva podľa potreby
• ochranu administrácie
• pravidelné zálohovanie
• technické logovanie
• ochranu pred neoprávneným prístupom
• aktualizácie systému
• obmedzenie prístupu zamestnancov a spolupracovníkov
• ochranu serverovej infraštruktúry

Konkrétne bezpečnostné opatrenia môžu byť upravené podľa technickej architektúry platformy.

Ak dotknutá osoba uplatní svoje práva priamo u Sprostredkovateľa, Sprostredkovateľ bez zbytočného odkladu informuje Prevádzkovateľa, ak je možné identifikovať, ktorého Prevádzkovateľa sa žiadosť týka.

Sprostredkovateľ poskytne Prevádzkovateľovi primeranú súčinnosť pri vybavení žiadostí dotknutých osôb.

Ak Sprostredkovateľ zistí porušenie ochrany osobných údajov, ktoré sa týka údajov spracúvaných v mene Prevádzkovateľa, oznámi to Prevádzkovateľovi bez zbytočného odkladu.

Oznámenie bude obsahovať dostupné informácie o povahe incidentu, dotknutých údajoch, možných následkoch a prijatých opatreniach.

Prevádzkovateľ zodpovedá za posúdenie, či je potrebné incident oznámiť dozornému orgánu alebo dotknutým osobám.

Prevádzkovateľ je oprávnený primerane overiť, či Sprostredkovateľ plní povinnosti podľa tejto zmluvy.

Kontrola musí byť primeraná, vopred oznámená a nesmie neprimerane zasahovať do prevádzky platformy, bezpečnosti systému alebo práv iných zákazníkov.

Sprostredkovateľ môže namiesto fyzického auditu poskytnúť primerané informácie, bezpečnostné vyhlásenie alebo inú dokumentáciu preukazujúcu plnenie povinností.

Ak Sprostredkovateľ alebo jeho subdodávateľ prenáša osobné údaje mimo EÚ/EHP, zabezpečí, aby bol prenos vykonaný v súlade s GDPR.

Môže ísť najmä o prenos na základe rozhodnutia o primeranosti, štandardných zmluvných doložiek alebo iného mechanizmu podľa GDPR.

Po ukončení zmluvného vzťahu Sprostredkovateľ podľa pokynu Prevádzkovateľa osobné údaje:

• vymaže
• vráti
• alebo umožní ich export, ak to technicky umožňuje zvolený balík

Sprostredkovateľ môže uchovávať údaje aj po ukončení spolupráce, ak je to nevyhnutné na splnenie zákonnej povinnosti alebo ochranu právnych nárokov.